Hvv样本合集分析(一)

阅读量    137693 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

概述

hvv期间,攻击者除了会对企业用户发起钓鱼攻击,还喜爱对蓝队防守人员发起钓鱼攻击,以防钓鱼手册、禁止访问xxx、钓鱼情况通报、蜜罐监控数据等为话题的鱼叉攻击层出不穷。在本文中,笔者将对最近看到的一系列样本进行分析,希望能帮助大家识别此类攻击,减少危害。

 

样本诱饵

根据不完全统计,目前笔者已经看到并统计到的诱饵名称包括但不限于(部分样本诱饵名涉及企业名称,已手动打码):

个人信息资料&关于xxxxx银行公司薪酬架构内部调整决定初稿xxxx.exe
1.《xxxxx》课程审核材料填报.exe
2.xxxx需要收集的信息.doc
3.xxx个人简历_-副本-.docx
4.采购资料.zip
5.简历.exe
6.公司出入款明细.exe
7.2021年春季学期xxx级干部专题进修班学院信息补充表.docx.exe
8.个人信息资料(信用卡中心).zip
9.资料未通过.rar
10.攻防演戏补丁检测使用手册.CHM
11.xxxx简历模板.doc
12.xxxx简历1.exe
13.Windows激活工具.exe
14.xxx安全防护.exe
15.自查工具.exe
16.关于护网攻防演练员工行为监管人员名单.exe
17.Flash_Update.exe
18…….

 

样本分析

Flash_Update.exe

原始样本模仿了Flash的更新程序,双击运行程序之后,程序首先会弹框显示”安装成功,请关闭窗口”以迷惑用户。

接着程序从data段去取一段数据,先通过base64解码,然后通过AES解密之后得到shellcode,程序通过VirtualAlloc分配一段内存空间并将该段shellcode拷贝过去后call rbx加载执行:

解密出的dll是CobaltStrike生成的shellcode,程序会在dll中解密C2并准备建立连接

蜜罐服务监测情况.xlsm

原始样本是带有恶意VBA代码的excel文档,文档内容看起来像是正常的蜜罐报告。

调用的宏代码由CobaltStrike框架生成,是标准的CS马:

数据转换完成,程序将会通过rundll32.exe加载这段代码, 地址是589824,转换为16进制为:0x90000

通过火绒剑,可以看到EXCEL.exe调起了Rundll32.exe,该线程中0x90000的地方,就是CobaltStrike的shellcode。

将这部分数据dump下来,然后调试之后可以看到C2:81[.]69.250.97

关联样本:APT攻击常用漏洞列表.xlsm

859f0a38a3d5a5d1ab0d382eea7a14c7
根据样本C2,可以顺藤摸瓜找到一些其他的样本,其中一例名为《APT攻击常用漏洞列表.xlsm》,由于命名和此次捕获的样本十分类似,引起了笔者的注意。

需要注意的是,此样本显示的创建时间为2019年3月25日,首次上传VT时间为2020年12月21日,此样本不是VBA的宏利用,而是Macro4.0的恶意样本:

宏代码执行后将会从http://81.69.250.97/anquan.msi 下载msi文件到本地通过msiexec安装,下载的msi文件中包含了一个Binary.Payload的恶意文件:

该文件是msf生成的meterpreter后门

***企业资产汇总.xlsm

和上一个样本类似,该样本也是以资产为诱饵,样本打开后是一些ip地址,然后诱导用户启用宏代码以执行CobaltStrike的Payload

dump出shellcode调试可知C2:180.215.22.252

2021年春季学期xxx级干部专题进修班学院信息补充表.docx.exe

原始样本为双拓展名,由于Windows默认不显示后缀名,普通用户接收该文件之后很容易误以为是docx文档并双击打开,样本运行后,会读取资源加载到新分配的内存

创建新线程执行资源的shellcode:

shellcode会多次循环解密后面的代码

解密后的shellcode依旧保持着较高的混淆,无法有效阅读:

解密请求C2路径和请求头(User-Agent:Mozilla/4.0(compatible;MSIE7.0;WindowsNT5.1;Maxthon2.0))

设置session:Cookie:session=776t3g==

对C2:hxxps://8.140.160.74:8080/Home发起请求,接收返回值

《xxxxx》课程审核材料填报.exexxxxx

原始样本是一个C#编写的加载器,通过盗用正常Word程序的图标来迷惑用户

样本启动之后,会先通过AES解密硬编码的数据,在base64解码之后解压缩得到shellcode,ASE的key为:

这里解密的两段数据分别为一段shellcode和一个用于迷惑用户的docx文件,程序首先会通过notepad.exe加载shellcode,然后将自身移动到temp目录下并以GUID重命名,最后打开释放的docx文档。

解密出来的shellcode由CobaltStrike生成:

第二段数据为docx文档:

注入notepad.exe加载shellcode:

请求C2:8.133.232.154(上海阿里云)

 

小结

通过对上面样本的分析可以看到,目前来讲,CobaltStrike和MSF依旧是红队最常用的攻击框架,大部分恶意样本都是基于这两款框架生成的,由于cs和msf支持直接导出shellcode,这使得红队/攻击者可以使用各种骚套路去编码shellcode以达到免杀的效果。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多